Naruszenia ochrony danych osobowych w praktyce

Naruszenie ochrony danych osobowych

RODO definiuje pojęcie naruszenia ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych (art. 4 pkt 12 RODO). W przypadku zaistnienia takiego zdarzenia RODO nakłada na administratora danych szereg obowiązków związanych z oceną skutków naruszenia z punktu widzenia osób, których danych są przetwarzane. W zależności od wyników takiej oceny, będzie on zobowiązany do podjęcia działań określonych w art. 33-34 RODO.

Nie każde naruszenie bezpieczeństwa danych osobowych (tzw. incydent bezpieczeństwa) będzie wiązało się z ryzykiem naruszenia praw i wolności osób, których dane dotyczą. Możliwa jest taka sytuacja, w której wprawdzie dojdzie do przypadkowej utraty danych, ale zdarzenie to nie wywoła negatywnych skutków dla osoby, której dane dotyczą.

Zgodnie z wytycznymi Grupy roboczej (art. 29) incydenty bezpieczeństwa danych osobowych można podzielić na:

• naruszenia poufności – niedozwolone lub przypadkowe ujawnienie lub umożliwienie dostępu do danych osobowych;
• naruszenia integralności – niedozwolona lub przypadkowa modyfikacja danych osobowych;
• naruszenia dostępności – niedozwolona lub przypadkowa utrata dostępu do danych osobowych lub ich zniszczenie.

Warto podkreślić różnicę pomiędzy pojęciami zniszczenia i utraty danych. Zniszczenie danych oznacza, że dane przestają istnieć i ich odzyskanie co do zasady jest niemożliwe, albo bardzo skomplikowane i kosztowne. Utrata danych oznacza, że dane nadal istnieją i funkcjonują w obiegu, ale administrator nie ma kontroli nad tym, w jaki sposób są one wykorzystywane. 

Jakie działania podjąć w przypadku naruszenia bezpieczeństwa danych osobowych?

Jeśli doszło do naruszenia bezpieczeństwa danych osobowych lub zachodzi uzasadnione podejrzenie, że do takiego naruszenia mogło dojść, administrator danych lub podmiot przetwarzający powinien podjąć niezwłocznie działania, mające na celu zarządzanie zaistniałą sytuacją oraz minimalizujące ryzyko wystąpienia negatywnych konsekwencji tych naruszeń. Zarządzanie incydentem bezpieczeństwa danych osobowych powinno obejmować następujące czynności:

• ustalenie okoliczności incydentu, tzn.: przyczyn, w jakich doszło do jego powstania, na czym polegało naruszenie i jaka jest jego skala;
• ocenę ryzyka naruszenia praw i wolności osób, których dane są przetwarzane;
• wypełnienie obowiązku poinformowania o incydencie właściwych podmiotów zgodnie z art. 33-34 RODO;
• podjęcie działań zaradczych zmierzających do usunięcia incydentu oraz ograniczania jego skutków,
• przeanalizowanie przyczyn powstania incydentu,
• uzupełnienie rejestru naruszeń ochrony danych,
• podjęcie działań zapobiegających powstawaniu tego typu incydentów w przyszłości,
• ewentualne wyciagnięcie konsekwencji służbowych wobec osób odpowiedzialnych za naruszenie lub wystąpienie z roszczeniem odszkodowawczym wobec innych podmiotów.

Ocena ryzyka naruszenia praw lub wolności osób, których dane są przetwarzane

W przypadku naruszenia bezpieczeństwa danych osobowych administrator danych dokonuje oceny ryzyka związanego z tym incydentem, w szczególności bada, jakie jest prawdopodobieństwo, że prawa i wolności osób fizycznych mogą zostać naruszone oraz skalę i wagę tego zagrożenia. Prawdopodobieństwo i powagę ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, należy określić poprzez odniesienie się do charakteru, zakresu, kontekstu i celów przetwarzania danych. Ryzyko należy oszacować na podstawie obiektywnej oceny, w ramach której stwierdza się, czy z operacjami przetwarzania danych wiąże się ryzyko lub wysokie ryzyko i jakie negatywne skutki z punktu widzenia podmiotów danych ma lub może mieć dane zdarzenie.

W praktyce ocena ryzyka naruszenia praw i wolności osób fizycznych jest procesem dosyć subiektywnym. Różne podmioty, w zależności od przyjętych założeń i metodologii, mogą ocenić to samo zdarzenie w różny sposób. Ocena ta zawsze jednak powinna mieć, na tyle na ile to możliwe, charakter obiektywny i obejmować wszystkie zagrożenia, które mogą wiązać się z naruszeniem dla osób, których dane były objęte naruszeniem.

Zgłoszenie incydentu bezpieczeństwa danych osobowych do organu nadzoru

W przypadku naruszenia ochrony danych osobowych każdy kto dowiedział się o incydencie lub ma uzasadnione podejrzenia, że do incydentu doszło, obowiązkowo i niezwłocznie powinien poinformować o tym osobę odpowiedzialną za ochronę danych w organizacji. Ważne jest to, aby przekazanie tej informacji nastąpiło jak najszybciej, ponieważ RODO nakłada na administratora danych obowiązek zgłoszenia w określonych przypadkach naruszenia do organu nadzoru.

Przekazanie informacji o incydencie bezpieczeństwa do Prezesa UODO powinno nastąpić niezwłocznie, nie później niż w 72 godziny po stwierdzeniu naruszenia. Przekazanie organowi nadzorczemu zgłoszenia po upływie tego terminu obliguje administratora do złożenia wyjaśnień co do przyczyn tego opóźnienia. Jeśli do incydentu bezpieczeństwa danych osobowych doszło po stronie podmiotu przetwarzającego, jest on zobowiązany niezwłocznie powiadomić administratora danych o stwierdzeniu naruszenia ochrony danych osobowych.

Nie jest jednak tak, że do Prezesa UODO należy zgłaszać każde naruszenie ochrony danych osobowych. Zgłoszeniu takiemu podlegają bowiem tylko takie naruszenia, dla których ocena wykaże wystąpienie ryzyka naruszenia praw lub wolności osób, których dane osobowe dotyczą. Zgłoszenia można dokonać elektronicznie lub pisemnie, a szczegółowe informacje w tym zakresie oraz formularze dostępne są na stronie internetowej urzędu. Zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu, musi co najmniej:

• opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
• zawierać imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji;
• opisywać możliwe konsekwencje naruszenia ochrony danych osobowych;
• opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Jeżeli informacji wymaganych w zgłoszeniu do organu nie da się udzielić w tym samym czasie, mogą one być udzielane sukcesywnie, ale czas ich przekazania nie powinien być nadmiernie przedłużany. 

Odstąpienie od wypełnienia obowiązku powiadomienia Prezesa UODO o naruszeniu bezpieczeństwa danych osobowych możliwe jest tylko wtedy, gdy zachodzi niskie prawdopodobieństwo, aby naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Niezależnie jednak od tego, czy zgłoszenie do UODO będzie konieczne, administrator jest zobowiązany dokumentować wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze (art. 33 ust. 5 RODO).

NOWOŚĆ na Infor.pl: Prenumerata elektroniczna Dziennika Gazety Prawnej KUP TERAZ!

Polecamy: INFORLEX Biznes

Zawiadamianie osoby, której dane dotyczą o naruszeniu ochrony danych osobowych

RODO nakłada na administratora danych obowiązek niezwłocznego zawiadomienia osoby, której dane osobowe mogą zostać naruszone o incydencie bezpieczeństwa, który może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 34 RODO). Zawiadomienie o incydencie bezpieczeństwa musi odnosić się do konkretnej sytuacji i być zgodne z zasadą przejrzystości, czyli powinno być sformułowane jasnym i prostym językiem. W treści zawiadomienia należy umieścić:

• ogólny opis charakteru naruszenia ochrony danych osobowych,
• możliwe konsekwencje naruszenia,
• opis podjętych działań w celu ograniczenia lub odwrócenia skutków naruszenia,
• dane kontaktowe inspektora ochrony danych (jeśli został powołany) lub innego punktu kontaktowego, od którego można uzyskać więcej informacji,
• wskazówki dotyczące działań jakie osoba, której dane dotyczą może lub powinna podjąć, aby zapobiec negatywnym skutkom naruszenia lub je zminimalizować.

Zawiadomienie o incydencie bezpieczeństwa powinno być skierowane niezwłocznie po jego wystąpieniu. Czas powiadomienia osób, których dane dotyczą jest bardzo ważny, gdyż umożliwia tym osobom podjęcie działań ograniczających negatywne konsekwencje naruszenia.

Zawiadomienie powinno być sporządzone w formie, która pozwoli podmiotowi danych na wielokrotne zapoznanie się z jego treścią. Przekazanie informacji może nastąpić w formie SMS, wiadomości e-mail lub tradycyjnego listu, przy czym ta ostatnia forma powinna być stosowana w ostateczności, gdy nie ma możliwości skorzystania z szybszych kanałów przekazywania informacji. Do przejrzystych metod informowania zaliczane są również widoczne bannery czy powiadomienia na stronach internetowych lub reklamy w mediach drukowanych, które w szybki sposób docierają do szerokiego kręgu osób, przy czym tego typu kanały przekazywania informacji mogą być wykorzystywane dodatkowo i nie mogą zastąpić indywidualnego powiadomienia osób których dane naruszono. W niektórych przypadkach (np. masowego wycieku danych osobowych) zalecane jest, aby administrator nie ograniczał się do jednego kanału informacyjnego tylko skorzystał z różnych metod komunikacji, aby jak najszybciej przekazać informacje o incydencie bezpieczeństwa.

Zgodnie z oficjalnym stanowiskiem Prezesa UODO powiadomienie, które ogranicza się do komunikatu prasowego czy firmowego bloga, nie uznaje się za skuteczne poinformowanie osoby fizycznej o incydencie bezpieczeństwa. Do powiadamiania osób, których dane naruszono administrator powinien stosować komunikaty dedykowane, które nie powinny być przesyłane razem z innymi informacjami np. newsletterem, czy standardową wiadomością cyklicznie przekazywaną klientowi.

Administrator może wstrzymać powiadomienie o naruszeniu do osób których dane dotyczą lub odstąpić od takiego powiadomienia tylko w ściśle określonych przypadkach, w szczególności, jeżeli otrzymał takie zalecenie od organu nadzoru lub organów ścigania. Zawiadomienie osób, których dane naruszono dotyczą nie jest ponadto wymagane, jeśli:

• administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
• administrator zastosował po naruszeniu środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą np. niezwłocznie zidentyfikował osobę, która uzyskała dostęp do danych osobowych i podjął działania minimalizujące negatywne skutki naruszenia;
• zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, przy czym w takim przypadku powinien zostać wydany publiczny komunikat lub zastosowany podobny środek, za pomocą którego osoby, których dane dotyczą, zostaną poinformowane w równie skuteczny sposób. Powiadomienie publiczne o incydencie bezpieczeństwa danych osobowych może być stosowane tylko szczególnych przypadkach, gdy administrator nie ma możliwości skorzystania z innych kanałów przekazania informacji osobie, której dane naruszono.